DSM 6.2.4 is released (23-02-2021)

[Birdy]

Hier de Release Notes.
Als je deze versie nog niet wordt aangeboden in DSM zelf, dan kan je deze downloaden in het Download Center en handmatig installeren.

[sciurius]

Ik zie niets in de relnotes over een nieuwe perl versie.

Ik ben ook niet blij met de nieuwe password criteria. Het enige wat ze daarmee bereiken is dat we de wachtwoorden weer op postit notes aan het scherm gaan hangen.

[Tim__]

Ik ben ook niet blij met de nieuwe password criteria. Het enige wat ze daarmee bereiken is dat we de wachtwoorden weer op postit notes aan het scherm gaan hangen.

Je kunt ook een wachtwoordmanager gebruiken hé. Deze onthoudt alles voor u. Je kunt deze zelfs hosten op je NAS.

https://mariushosting.com/how-to-install-bitwarden-on-your-synology-nas

[Birdy]

Daarbij, dit soort wachtwoord beveiligingen komen steeds vaker voor, ook op websites als je een account maakt.

[Briolet]

Perl staat los van DSM. Daarover zul je nooit wat vinden in de relasenotes.

Enhanced the password policy. Passwords must exclude usernames and descriptions, include both upper-case and lower-case letters as well as numerical digits. The minimum password length is 8 characters.

Dit klopt natuurlijk niet. Enhanced betekend uitgebreid. Maar al deze opties kon je nu ook al zelf instellen. Het lijkt me meer een "Restricted the password policy". Schijnbaar wordt je nu de keuze ontnomen. (Ik heb de update nog niet bekeken)

[Birdy]

Ik wel en het is zo in 6.2.4 en van begin af aan, ook in versie 7.

[Hofstede]

Neem aan dat ze hiermee de standaard instellingen bedoelen, en dat je het eventueel weer zelf aan kunt passen. Synology kan niet de password policy van hun gebruikers gaan bepalen.

[Jerengina]

De tijd van minder dan 8 karakters in je wachtwoord is zó 2020...
Gebruik nu Bitwarden met vaak het maximaal aantal tekens. Voor Synology komt dit neer op 64 tekens. Minder zou je ook niet moeten willen, denk ik.

[Birdy]

Neem aan dat ze hiermee de standaard instellingen bedoelen, en dat je het eventueel weer zelf aan kunt passen. Synology kan niet de password policy van hun gebruikers gaan bepalen.

Check, klopt bijna helemaal, uitzondering is idd de lengte van het password, moet minimaal 8 zijn, rest kan je aanpassen.

[Hofstede]

Dat is het punt van discussie niet. Het gaat er om dat de eindgebruiker dat zelf moet kunnen bepalen. Synology mag een voorstel doen, maar niet op de stoel van de gebruiker gaan zitten en de gebruiker regeltjes opleggen.
Ook bedrijven zullen dat niet fijn vinden.

Dus de concrete vraag is of je na het uitvoeren van de upgrade de password policy nog kunt instellen zoals je het zelf wilt.


Edit: Bedankt @Birdy.

[Briolet]

Als je de genoemde criteria niet ingesteld had, dan waarschuwde de Security Advisor hiervoor. Eigenlijk is er dus niet echt iets wezenlijks veranderd. Behalve dan blijkbaar de default instelling.

[sciurius]

Mijn NASsen zijn voor lokaal gebruik, in een LAN dat niet van buiten toegankelijk is en waar ik de enige gebruiker van ben.
Zelfs al zou dat een redelijk uitzonderlijke situatie zijn dan nog ben ik van mening dat ik zelf moet kunnen bepalen welk niveau van beveiliging ik wil inschakelen.

[Briolet]

Op zich zijn er ook aanvallen via de LAN bekend. Meestal gaat het dan om malware die op de PC binnengehaald is en dan de lan scant op bekende apparaten, zoals routers, en dan probeert om via de standaard wachtwoorden toegang te krijgen. Als je PC wel toegang tot buiten heeft, mag je er niet automatisch vanuit gaan dat alleen tan toegang geven al veilig is.

Kijk b.v. naar de EthernalBlue aanval op lan apparaten via een lek in het smb1 protocol.

[sciurius]

...een LAN dat niet van buiten toegankelijk is...

(Alleen via VPN, maar dat is een beveiliging van een heel wat hogere orde dan een wachtwoord van 8 tekens)

[zandhaas]

Je ziet tegenwoordig dat alle IT leveranciers de beveiliging van hun producten steeds strakker aantrekken. En ja ze geven soms / vaak ook opties om die opteis naar eigen inzicht te veranderen. Maar als je zelf wijzigingen hebt uitgevoerd en je wordt daarna gehacked kun je niet naar de leverancier wijzen want die zal zeggen: "Ja had je de default maar niet aan moeten passen want anders was dit niet gebeurt".  Ze dekken zich op deze manier gewoon in voor minimaal slechte recensies en in het slechtste geval hoe boetes.